如何通过.htaccess允许iframe访问但禁止子文件夹直接访问？

我来帮你搞定这个问题——核心是要区分合法请求（来自你的index.php页面/iframe）和非法请求（直接地址栏访问）。之前的.htaccess配置之所以无效，是因为你直接禁止了所有外部访问（只允许本地），这连iframe的请求也给拦住了，肯定不行。下面给你两个靠谱的方案，按需选择：

方案一：用.htaccess结合Session验证（最可靠） #

这种方式通过Session标记来确认请求来源，几乎没有绕过的可能，步骤如下：

1. 修改主目录的index.php
   在处理POST请求时初始化Session并标记合法访问，同时做安全校验防止路径遍历攻击：

   <?php
   session_start();
   // 标记当前请求来自合法页面
   $_SESSION['allow_subfolder_access'] = true;
   
   // 安全校验：过滤非法路径
   $target_link = $_POST['link'] ?? '';
   if (strpos($target_link, '..') !== false || !is_dir(__DIR__ . '/' . $target_link)) {
       die("非法请求");
   }
   ?>
   <iframe src="<?php echo $target_link;?>"></iframe>
   

2. 给每个子文件夹添加.htaccess
   在SUBFOLDER1、SUBFOLDER2等子文件夹下创建.htaccess，内容如下：

   RewriteEngine On
   # 检查Session是否存在合法标记（通过Cookie判断，Session信息存储在Cookie中）
   RewriteCond %{HTTP_COOKIE} !PHPSESSID=.*allow_subfolder_access.* [NC]
   # 无合法标记则返回403禁止访问
   RewriteRule ^(.*)$ - [F,L]
   

方案二：改用PHP Header跳转替代iframe（更简洁） #

如果不想用iframe，跳转方案也很容易实现，同样依赖Session验证：

1. 修改主目录的index.php
   处理POST请求并跳转前标记Session，同时做好安全校验：

   <?php
   session_start();
   $target_link = $_POST['link'] ?? '';
   
   // 安全校验必须做！防止恶意路径
   if (empty($target_link) || strpos($target_link, '..') !== false || !is_dir(__DIR__ . '/' . $target_link)) {
       header("HTTP/1.1 400 Bad Request");
       die("无效链接");
   }
   
   // 标记允许访问
   $_SESSION['allow_subfolder_access'] = true;
   // 跳转到子文件夹的入口文件（注意把子文件夹的index.html改成index.php）
   header("Location: /PDF/" . $target_link . "/index.php");
   exit;
   ?>
   

2. 修改子文件夹的index.php
   在原index.html内容前添加Session验证代码：

   <?php
   session_start();
   // 检查是否有合法访问标记
   if (!isset($_SESSION['allow_subfolder_access']) || !$_SESSION['allow_subfolder_access']) {
       header("HTTP/1.1 403 Forbidden");
       die("禁止直接访问");
   }
   // 用完就销毁标记，防止重复利用
   unset($_SESSION['allow_subfolder_access']);
   ?>
   <!-- 这里放原来index.html的所有内容 -->
   

补充：简单但有局限性的Referer方案 #

如果不想用Session，也可以通过请求的Referer头做限制（但注意：部分浏览器或隐私插件会禁用Referer，所以可靠性稍差），在PDF目录的.htaccess里写：

Options -Indexes
RewriteEngine On
# 只允许来自本域名下index.php的请求访问子文件夹
RewriteCond %{HTTP_REFERER} !^http://mydevsite.com/PDF/index.php [NC]
# 匹配所有子文件夹，禁止直接访问
RewriteRule ^[^/]+/ - [F,L]

记得把mydevsite.com换成你的实际域名。

内容的提问来源于stack exchange，提问作者user6677795